La UE ha presentado un nuevo Proyecto de Ley Ómnibus Digital diseñado para optimizar la regulación de la protección de datos, la ciberseguridad y la IA. ¿Cómo pueden las organizaciones garantizar que sus estrategias de cumplimiento sean adaptables y estén coordinadas para mantenerse resilientes a medida que evoluciona la regulación digital?

Por Kate O'Flaherty

Gestionar la multitud de leyes digitales en numerosas jurisdicciones es un campo minado para la mayoría de las organizaciones. Y la lucha constante por cumplirlas individualmente tiene poco sentido, cuando muchos de los requisitos de las regulaciones se solapan.

Es con esto en mente que la UE ha propuesto una Proyecto de ley ómnibus digital Diseñado para optimizar y alinear la protección de datos, la ciberseguridad y la regulación de la IA.

El proyecto de ley, anunciado por primera vez en noviembre de 2025, se encuentra actualmente en consulta y su implementación está prevista para principios de 2027. Se espera que genere hasta 5 millones de euros en ahorros para 2029.

A medida que converge la regulación digital que cubre la protección de datos, la ciberseguridad y la IA, está redefiniendo las expectativas en torno a... gobierno, rendición de cuentas y gestión de riesgos. Las organizaciones ahora necesitan estrategias de cumplimiento adaptables y coordinadas para mantenerse resistente a medida que evoluciona la regulación digital.

El momento perfecto para una factura

El proyecto de ley llega en el momento perfecto. Con el tiempo, la acumulación de nuevas normas sobre seguridad digital, integridad de datos y privacidad ha aumentado la complejidad y los costes de cumplimiento para las organizaciones que operan en la UE, afirma Ben Lipczynski, director de servicios de seguridad de Origina.

Reglamentos como el Reglamento general de protección de datos de la UE (RGPD), Redes y sistemas de información 2 (NIS2), el Ley de Resiliencia Cibernética y Ley de IA de la UE Se han introducido con objetivos claros.

Sin embargo, su solapamiento ha «creado una carga administrativa innecesaria y reducido la competitividad», afirma Lipczynski. Con la propuesta de Ley Ómnibus Digital, la UE ha reconocido que la «regulación digital fragmentada y duplicada» está socavando la eficacia del mercado único, explica. IO.

El Ómnibus Digital no es una ley más. Debe entenderse como un reconocimiento por parte de la UE de que el antiguo modelo de tratar múltiples regulaciones como silos separados ya no funciona, afirma Tracey Hannan-Jones, directora de consultoría de seguridad de la información y GRC, y responsable de protección de datos del grupo en UBDS Digital. «Es el primer intento de la UE de unificar parcialmente el reglamento digital, optimizando los datos, la IA y la ciberseguridad, modificando los instrumentos existentes, en lugar de superponerlos».

En realidad, esto significa que se trata de una "limpieza horizontal". Modifica el RGPD, la NIS2, la Ley de Inteligencia Artificial de la UE, la Ley de Gobernanza de Datos y otras, mediante un "paquete coordinado", explica Hannan-Jones.

Superposiciones de leyes

Las leyes digitales actuales se solapan en múltiples áreas. Por ejemplo, la NIS2, la Ley de Ciberresiliencia y la Ley de IA de la UE se solapan en cuanto a la notificación de incidentes y los requisitos de resiliencia. Se espera que estas solapamientos se resuelvan mediante la propuesta de Punto de Entrada Único, cuyo objetivo es simplificar y consolidar las obligaciones de notificación en todos los marcos, afirma Lipczynski de Origina.

Esto supondrá un cambio importante respecto a los marcos regulatorios, a menudo aislados, que pueden generar una mayor complejidad y requisitos contrapuestos, afirma Lipczynski. Actualmente, al informar sobre incidentes cibernéticos, las organizaciones pueden verse obligadas a informar a múltiples agencias independientes, cada una priorizando diferentes conjuntos de datos en el informe del incidente. «Esto puede generar una carga administrativa significativa en un momento crítico».

De igual manera, el seguimiento y la respuesta a los cambios en numerosas regulaciones —a menudo comunicados a través de canales independientes y dispersos— añaden mayor complejidad. «Esta fragmentación dificulta la alineación de los planes de respuesta y las estructuras de gobernanza, lo que incrementa tanto los esfuerzos de cumplimiento normativo como el riesgo operativo», afirma Lipczynski.

La alineación podría permitir a las organizaciones optimizar y estandarizar sus marcos de cumplimiento y lograr eficiencias operativas, y por lo tanto, ahorros, afirma Lipczynski. «Los recursos pueden entonces destinarse a iniciativas que puedan desarrollar aún más las capacidades y la competitividad de la empresa».

Sin embargo, las organizaciones deben tener en cuenta que, si bien la convergencia regulatoria genera oportunidades, también puede generar desafíos, afirma David Dumont, socio de Hunton Andrews Kurth. «Un conjunto armonizado y claro de normas digitales puede requerir que las organizaciones adopten un enfoque más integral y coherente en sus prácticas de datos y obligaciones relacionadas, dejando menos margen para esconderse tras las complejidades e inconsistencias del actual mosaico de regulaciones».

Gobernanza integrada del riesgo digital en la práctica

El Proyecto de Ley Ómnibus Digital es una clara señal de que las empresas necesitan cambiar sus enfoques compartimentados en materia de protección de datos, ciberseguridad y cumplimiento normativo en materia de IA.

Las empresas deben esforzarse por lograr una gobernanza del riesgo digital “integrada”, lo que significa que “las partes interesadas multidisciplinarias internas deben trabajar juntas y hablar el mismo idioma”, dice Dumont de Hunton Andrews Kurth.

Para lograrlo, los equipos de privacidad, legal y cumplimiento normativo deben intentar traducir los requisitos legales a términos técnicos. «Esto ayudará a los equipos de TI y gobernanza de datos a identificar las medidas pertinentes existentes dentro de la organización y a aprovecharlas al máximo para cumplir con el marco de las nuevas leyes digitales», aconseja.

En la práctica, la gobernanza integrada de riesgos digitales implica establecer una única capa de gobernanza a través de la cual todas las comunicaciones de datos sensibles, ya sean correos electrónicos, intercambio de archivos, transferencias gestionadas de archivos o formularios web, se enrutan, supervisan y controlan bajo un conjunto uniforme de políticas, afirma Dario Perfettibile, director general de EMEA GTM y operaciones con clientes de Kiteworks. «Esto significa que los mismos estándares de cifrado, controles de acceso y registros de auditoría que cumplen con los requisitos de protección de datos del RGPD también sirven como evidencia para la notificación de incidentes de NIS2 y la gestión de vulnerabilidades de la Ley de Ciberresiliencia».

Esto también significa que cuando un empleado comparte datos con un proveedor externo de IA, el intercambio se rige automáticamente por los mismos controles que protegen los historiales de pacientes o las transacciones financieras. "Se necesita una cadena de custodia completa, visible para los auditores en todos los entornos aplicables", añade Perfettibile.

Cumplimiento a prueba de futuro

Con el Proyecto de Ley Ómnibus Digital que se lanzará dentro de un año, tiene sentido comenzar Preparando su cumplimiento para el futuro estrategia ahora. Alinearse con los marcos de gobernanza y las normas ISO como ISO 27001, (seguridad de la información), ISO 42001, (Gestión de IA), y ISO 27701, (privacidad), es crucial para navegar los cambios.

Para garantizar un cumplimiento normativo conjunto en el futuro, Hannan-Jones, de UBDS Digital, aconseja a las empresas consolidar sus órganos de gobernanza. Para ello, sugiere la creación de un comité único de riesgos digitales que se encargue de la estrategia de protección de datos (RGPD), la estrategia de ciberseguridad (NIS2/CRA), la gobernanza de la IA (Ley de IA) y el cumplimiento normativo de los productos (CRA/normas sectoriales).

Al mismo tiempo, si se opera en múltiples jurisdicciones, la estrategia es analizar todas las leyes y marcos y mapear la superposición, no solo las obligaciones, dice Hannan-Jones.

Recomienda crear una matriz que muestre dónde regulaciones como el RGPD, el NIS y la Ley de IA exigen evaluaciones de riesgos, roles de gobernanza, medidas técnicas y organizativas, informes de incidentes y documentación con mantenimiento de registros. «Luego, diseñe procesos compartidos donde las coincidencias sean más fuertes».

Las organizaciones pueden estandarizar sus evaluaciones y documentación desarrollando una metodología central de evaluación de riesgos con módulos de privacidad, IA y seguridad. «Asegúrese de que se registren valores de referencia unificados, incluyendo control de acceso, registro y monitorización, pruebas y cifrado», añade.

A medida que las regulaciones digitales convergen, esto debería vincularse a un programa unificado de respuesta a incidentes que clasifique las infracciones en materia de privacidad, seguridad e IA. "Y, cuando corresponda, asignarlas automáticamente a las obligaciones y plazos de notificación legal pertinentes", afirma Hannan-Jones. "Esto permitirá crear un registro de evidencias único que pueda ser reutilizado por múltiples organismos reguladores".